KB5025885: A CVE-2023-24932-höz társított biztonságos rendszerindítási módosítások Windows Boot Manager-visszavonásainak kezelése

Ebben a cikkben

• Összefoglalás

  • Művelet végrehajtása

  • Hatás hatóköre

  • A kockázatok ismertetése

  • Ismert problémák

• Útmutató ehhez a kiadáshoz

• Hibaelhárítási üzembehelyezési irányelvek

• Rendszerindító adathordozó

• Windows telepítési adathordozó frissítése

• Frissítések időzítése

• A CVE-2023-24932-höz kapcsolódó Windows-eseménynapló-hibák

• Gyakori kérdések (GYIK)

• Rendszerindítási problémák elhárítása

• Helyreállítási eljárás

• Referenciák

• Napló módosítása

Összefoglalás

Ez a cikk a CVE-2023-24932 által nyomon követett BlackLotus UEFI-rendszerindítót használó, nyilvánosan közzétett Biztonságos rendszerindítási biztonsági funkció megkerülésével szembeni védelmet, a kockázatcsökkentések engedélyezését és a rendszerindító adathordozóra vonatkozó útmutatást ismerteti. A bootkit egy rosszindulatú program, amely úgy van kialakítva, hogy a lehető leghamarabb betöltse az eszközök rendszerindítási sorozatát az operációs rendszer indításának vezérléséhez.

A Biztonságos rendszerindítást a Microsoft javasolja, hogy biztonságos és megbízható útvonalat hozzon létre az egyesített bővíthető belső vezérlőprogram felületéről (UEFI) a Windows kernel megbízható rendszerindítási sorozatán keresztül. A Biztonságos rendszerindítás segít megelőzni a rendszerindítási kártevőt a rendszerindítási folyamatban. A Biztonságos rendszerindítás letiltása kockázatnak teszi ki az eszközt a bootkit kártevő által történő fertőzöttség szempontjából. A CVE-2023-24932-ben leírt biztonságos rendszerindítási megkerülés kijavításához vissza kell indítani a rendszerindítás-kezelőket. Ez problémákat okozhat egyes eszközindítási konfigurációk esetében.

A 2024. április 9-én vagy azt követően kiadott Windows biztonsági frissítések tartalmazzák a CVE-2023-24932-ben részletezett biztonságos rendszerindítási megkerülés elleni kockázatcsökkentéseket. Ezek a kockázatcsökkentések azonban alapértelmezés szerint nincsenek engedélyezve. Ezekkel a frissítésekkel azt javasoljuk, hogy kezdje el kiértékelni ezeket a változásokat a környezetében. A teljes ütemezést a Frissítések időzítése szakaszban ismertetjük.

A kockázatcsökkentések engedélyezése előtt alaposan tekintse át a cikkben található részleteket, és állapítsa meg, hogy engedélyeznie kell-e a kockázatcsökkentéseket, vagy várnia kell a Microsoft jövőbeli frissítésére. Ha úgy dönt, hogy engedélyezi a kockázatcsökkentéseket, ellenőriznie kell az eszközök frissítését és készenlétét, valamint ismernie kell az ebben a cikkben ismertetett kockázatokat. 

Útmutató ehhez a kiadáshoz

Ebben a kiadásban kövesse ezt a két lépést.

1. lépés: A Windows biztonsági frissítés

telepítése Telepítse a 2024. április 9-én vagy azt követően kiadott Windows havi biztonsági frissítést a támogatott Windows-eszközökön. Ezek a frissítések tartalmazzák a CVE-2023-24932 megoldásait, de alapértelmezés szerint nincsenek engedélyezve. Minden Windows-eszköznek el kell végeznie ezt a lépést, függetlenül attól, hogy tervezi-e a kockázatcsökkentések üzembe helyezését.

2. lépés: A módosítások

kiértékelése Javasoljuk, hogy tegye a következőket:

• Ismerje meg az első két kockázatcsökkentést, amelyek lehetővé teszik a biztonságos rendszerindítási adatbázis frissítését és a rendszerindítás-kezelő frissítését.

• Tekintse át a frissített ütemezést.

• Kezdje el tesztelni az első két kockázatcsökkentést a környezet reprezentatív eszközein.

• Az üzembe helyezési fázis tervezésének megkezdése 2024. július 9-én.

3. lépés: A módosítások kényszerítése

Javasoljuk, hogy ismerje meg a Kockázatok ismertetése szakaszban szereplő kockázatokat.

• Ismerje meg a helyreállításra és más rendszerindító adathordozókra gyakorolt hatást.

• Kezdje el tesztelni a harmadik kockázatcsökkentést, amely nem megbízható az összes korábbi Windows rendszerindítás-kezelőhöz használt aláíró tanúsítványban.

Hibaelhárítási üzembehelyezési irányelvek

Mielőtt követené a kockázatcsökkentések alkalmazásának lépéseit, telepítse a Windows 2024. április 9-én vagy azt követően kiadott havi karbantartási frissítését a támogatott Windows-eszközökön. Ez a frissítés tartalmazza a CVE-2023-24932 megoldásait, de alapértelmezés szerint nincsenek engedélyezve. A megoldás engedélyezésének tervétől függetlenül minden Windows-eszköznek végre kell hajtania ezt a lépést.

A frissítés üzembe helyezéséhez és a visszavonások alkalmazásához kövesse az alábbi lépéseket:

1. Telepítse a frissített tanúsítványdefiníciókat az adatbázisba.

   Ez a lépés hozzáadja a "Windows UEFI CA 2023" tanúsítványt az UEFI "Secure Boot Signature Database" (DB) adatbázishoz. Ha hozzáadja ezt a tanúsítványt az adatbázishoz, az eszköz belső vezérlőprogramja megbízik a tanúsítvány által aláírt rendszerindító alkalmazásokban.

   1. Nyisson meg egy rendszergazdai parancssort, és állítsa be a beállításkulcsot az adatbázisra való frissítés végrehajtásához a következő paranccsal:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x40 /f

      FONTOS Mielőtt továbblép a 2. és 3. lépésre, mindenképpen indítsa újra az eszközt kétszer a frissítés telepítésének befejezéséhez.

   2. Futtassa a következő PowerShell-parancsot rendszergazdaként, és ellenőrizze, hogy az adatbázis frissítése sikeresen megtörtént-e. Ennek a parancsnak Igaz értéket kell visszaadnia.

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

2. Frissítse a Rendszerindítás-kezelőt az eszközön.

   Ez a lépés egy rendszerindítás-kezelő alkalmazást telepít az eszközre, amely a "Windows UEFI CA 2023" tanúsítvánnyal van aláírva.

   1. Nyisson meg egy rendszergazdai parancssort, és állítsa be a beállításkulcsot a "'Windows UEFI CA 2023" aláírt rendszerindítás-kezelő telepítéséhez:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x100 /f

   2. Indítsa újra az eszközt kétszer.

   3. Rendszergazdaként csatlakoztassa az EFI-partíciót, hogy készen álljon a vizsgálatra:

      mountvol s: /s

   4. Ellenőrizze, hogy az "s:\efi\microsoft\boot\bootmgfw.efi" fájl alá van-e írva a "Windows UEFI CA 2023" tanúsítvánnyal. Ehhez kövesse a következő lépéseket:

      1. Kattintson a Start gombra, írja be a parancssor kifejezést a Keresés mezőbe, majd kattintson a Parancssor parancsra.

      2. A Parancssor ablakban írja be a következő parancsot, majd nyomja le az Enter billentyűt:

         copy S:\EFI\Microsoft\Boot\bootmgfw.efi c:\bootmgfw_2023.efi

      3. A Fájlkezelőben kattintson a jobb gombbal a C:\bootmgfw_2023.efi fájlra, kattintson a Tulajdonságok elemre, majd válassza a Digitális aláírások lapot.

      4. Az Aláírás listában ellenőrizze, hogy a tanúsítványlánc tartalmazza-e a Windows UEFI CA 2023-at. A tanúsítványláncnak a következő képernyőképen kell megegyeznie:
         
         

3. Engedélyezze a visszavonást.

   Az UEFI Tiltott lista (DBX) a nem megbízható UEFI-modulok betöltésének letiltására szolgál. Ebben a lépésben a DBX frissítése hozzáadja a "Windows Production CA 2011" tanúsítványt a DBX-hez. Ez azt eredményezi, hogy a tanúsítvány által aláírt rendszerindítás-kezelők nem lesznek megbízhatók.

   FIGYELMEZTETÉS: A harmadik kockázatcsökkentés alkalmazása előtt hozzon létre egy helyreállítási flash meghajtót, amely a rendszer elindításához használható. Ennek módjáról a Windows telepítési adathordozójának frissítése című szakaszban talál további információt.

   Ha a rendszer nem indítható állapotba kerül, a Helyreállítási eljárás szakasz lépéseit követve állítsa vissza az eszközt a visszavonás előtti állapotba.

   1. Adja hozzá a "Windows Production PCA 2011" tanúsítványt a Secure Boot UEFI Forbidden List (DBX) listához. Ehhez nyisson meg egy parancssori ablakot rendszergazdaként, írja be a következő parancsot, majd nyomja le az Enter billentyűt:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x80 /f

   2. Indítsa újra az eszközt kétszer , és győződjön meg arról, hogy teljesen újraindult.

   3. A telepítési és visszavonási lista sikeres alkalmazásának ellenőrzéséhez keresse meg a 1037-et az eseménynaplóban.
      
      További információ az 1037-s eseményről: KB5016061: Secure Boot DB és DBX változófrissítési események. Vagy futtassa a következő PowerShell-parancsot rendszergazdaként, és győződjön meg arról, hogy igaz értéket ad vissza:

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI dbx).bytes) -match 'Microsoft Windows Production PCA 2011'

Rendszerindító adathordozó

Fontos lesz frissíteni a rendszerindító adathordozót, miután az üzembehelyezési fázis elkezdődött a környezetben. Az adathordozó frissítésére vonatkozó útmutatást és eszközöket az üzembe helyezési fázishoz időben biztosítjuk. Az üzembehelyezési fázis a tervek szerint 2024. július 9-én kezdődik.

Példák a probléma által érintett rendszerindító adathordozóra és helyreállítási adathordozóra:

• A helyreállítási meghajtó létrehozásával létrehozott rendszerindító adathordozó.

• A windowsos biztonsági másolatok, amelyek a kockázatcsökkentés alkalmazása előtt lettek rendszerképen. Ezek nem lesznek közvetlenül felhasználhatók a Windows-telepítés visszaállítására, miután a visszavonások engedélyezve lettek az eszközön.

• Egyéni CD/DVD vagy helyreállítási partíció, amelyet Ön, az eszköz gyártója (OEM) vagy nagyvállalatok hoztak létre.

• ISO (letöltéssel vagy az ADK használatával).

• Hálózati rendszerindítás:

  • Központi Windows-telepítési szolgáltatások.

  • Végrehajtási környezet előzetes rendszerindítási szolgáltatásai (PXE rendszerindítási szolgáltatások).

  • Microsoft Deployment Toolkit.

  • HTTPS-rendszerindítás.

• OEM telepítési és helyreállítási adathordozó.

• Hivatalos Windows-média a Microsofttól, beleértve a következőket:

  • Kiskereskedelmi média.

  • Médiakészítő eszköz (ISO vagy USB-meghajtó).

  • VLSC.

  • Visual Studio-előfizetői letöltések.

  • USB-meghajtó.

• Windows PE.

• Fizikai hardverre vagy virtuális gépekre telepített Windows.

• Windows érvényesítési operációs rendszer.

Ha rendszerindító adathordozót használ egy személyes Windows-eszközzel, előfordulhat, hogy a visszavonások alkalmazása előtt az alábbiak közül egyet vagy többet kell tennie:

• Ha személyes biztonsági mentési szoftvert használ az eszköz tartalmának mentéséhez, a 2024. április 9-i kockázatcsökkentések alkalmazása után mindenképpen futtasson teljes biztonsági másolatot.

• Ha rendszerindító lemezképet (ISO), CD-ROM-ot vagy DVD-adathordozót használ, frissítse az adathordozót a későbbi időpontban megjelenő utasítások szerint.

Enterprise

• Tekintse meg a Windows telepítési adathordozójának dinamikus frissítéssel történő frissítésére vonatkozó átfogó irányelveket és parancsfájlokat.

• Ha támogatja a hálózati rendszerindítási vagy helyreállítási forgatókönyveket a környezetben, frissítenie kell az összes adathordozót és lemezképet. Ez a következő rendszerindítási vagy helyreállítási lehetőségeket tartalmazhatja:

  • Microsoft Deployment Toolkit.

  • Microsoft Endpoint Configuration Manager.

  • Központi Windows-telepítési szolgáltatások.

  • PxE-rendszerindítás.

  • HTTPS-rendszerindítási és egyéb hálózati rendszerindítási forgatókönyvek.

• Ennek egyik módja a DISM offline csomagtelepítés használata az ilyen forgatókönyvek által kiszolgált rendszerképeken. Ez magában foglalja a szolgáltatások által kínált rendszerindító fájlok frissítését.

• Ha biztonsági mentési szoftverrel menti a Windows-telepítés tartalmát egy helyreállítási lemezképbe, a 2024. április 9-i kockázatcsökkentések alkalmazása után mindenképpen futtasson teljes biztonsági másolatot. Győződjön meg arról, hogy a Windows operációs rendszer partíciója mellett biztonsági másolatot is készít az EFI-lemezpartícióról. Egyértelműen azonosítsa a 2024. április 9-i kockázatcsökkentések alkalmazása előtt készített biztonsági másolatokat a kockázatcsökkentések alkalmazása után készített biztonsági másolatokkal szemben.

Windows rendszerű számítógép számítógép-gépei

• Tekintse meg a Windows telepítési adathordozójának dinamikus frissítéssel történő frissítésére vonatkozó átfogó irányelveket és parancsfájlokat.

Windows telepítési adathordozó frissítése

A Helyreállítási meghajtó létrehozása alkalmazást az alábbi lépésekkel használhatja. Ezzel az adathordozóval újratelepíthet egy eszközt, ha nagyobb probléma, például hardverhiba történik, a helyreállítási meghajtóval újratelepítheti a Windowst.

1. Nyissa meg azt az eszközt, amelyen a 2024. április 9-i frissítések és az első kockázatcsökkentési lépés (a biztonságos rendszerindítási adatbázis frissítése) alkalmazva lett.

2. A Start menüben keresse meg a "Helyreállítási meghajtó létrehozása" vezérlőpult kisalkalmazást, és kövesse az utasításokat a helyreállítási meghajtó létrehozásához.

3. Az újonnan létrehozott flash meghajtó csatlakoztatásával (például "D:" meghajtóként) futtassa a következő parancsokat rendszergazdaként. Írja be az alábbi parancsok mindegyikét, majd nyomja le az Enter billentyűt:

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Ha a környezetében a Telepíthető adathordozó frissítése dinamikus frissítéssel című útmutató segítségével kezeli a telepíthető adathordozót, kövesse az alábbi lépéseket. Ezek a további lépések létrehoznak egy rendszerindító flash meghajtót, amely a "Windows UEFI CA 2023" aláíró tanúsítvány által aláírt rendszerindító fájlokat használja.

1. Nyissa meg azt az eszközt, amelyen a 2024. április 9-i frissítések és az első kockázatcsökkentési lépés (a biztonságos rendszerindítási adatbázis frissítése) alkalmazva lett.

2. A 2024. április 9-i frissítéseket tartalmazó adathordozó létrehozásához kövesse az alábbi hivatkozás lépéseit. Windows telepítési adathordozó frissítése dinamikus frissítéssel

3. Helyezze az adathordozó tartalmát egy USB-meghajtóra, és csatlakoztassa az ujjlenyomatot meghajtóbetűjelként. Csatlakoztassa például az ujjlenyomat-meghajtót "D:" néven.

4. Futtassa a következő parancsokat egy parancsablakból rendszergazdaként. Írja be az alábbi parancsokat, majd nyomja le az Enter billentyűt.

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Ha egy eszköz biztonsági rendszerindítási beállításai a kockázatcsökkentések alkalmazása után az alapértelmezett értékre állíthatók vissza, az eszköz nem indul el. A probléma megoldásához a javítóalkalmazás szerepel a 2024. április 9-i frissítésekben, amelyek a "Windows UEFI CA 2023" tanúsítvány adatbázisra való újbóli alkalmazásához használhatók (1. kockázatcsökkentés).

1. Nyissa meg azt az eszközt, amelyen a 2024. április 9-i frissítéseket alkalmazták.

2. Egy parancsablakban másolja a helyreállítási alkalmazást a flash meghajtóra a következő parancsokkal (feltéve, hogy a flash meghajtó a "D:" meghajtó). Írja be külön az egyes parancsokat, majd nyomja le az Enter billentyűt:

   md D:\EFI\BOOT

   copy C:\windows\boot\efi\securebootrecovery.efi

   D:\EFI\BOOT\bootx64.efi

3. Azon az eszközön, amelyen a Biztonságos rendszerindítási beállítások visszaállnak az alapértelmezett értékre, helyezze be a flash meghajtót, indítsa újra az eszközt, és indítsa el a flash meghajtóról.

Frissítések időzítése

Frissítések a következőképpen jelennek meg:

• Kezdeti üzembe helyezés Ez a fázis a 2023. május 9-én kiadott frissítésekkel kezdődött, és alapvető kockázatcsökkentési megoldásokat biztosított a kockázatcsökkentések engedélyezéséhez szükséges manuális lépésekkel.

• Második üzembe helyezés Ez a fázis a 2023. július 11-én kiadott frissítésekkel kezdődött, amelyek egyszerűsített lépésekkel lehetővé tették a probléma megoldását.

• Kiértékelési fázis Ez a fázis 2024. április 9-én kezdődik, és további rendszerindítás-kezelői kockázatcsökkentéseket ad hozzá.

• Végső üzembe helyezési fázis Ekkor bátorítjuk az összes ügyfelet a kockázatcsökkentések üzembe helyezésére és az adathordozók frissítésére.

• Kényszerítési fázis A kényszerítési fázis, amely véglegessé teszi a kockázatcsökkentéseket. A fázis dátumát egy későbbi időpontban jelentik be.

Megjegyzés A kiadási ütemezés szükség szerint módosítható.

A CVE-2023-24932-höz kapcsolódó Windows-eseménynapló-hibák

Az adatbázis és a DBX frissítésével kapcsolatos Windows-eseménynapló-bejegyzések részletes leírását a következő KB5016061: Secure Boot DB és DBX változófrissítési események.

A kockázatcsökkentések alkalmazásával kapcsolatos "sikeres" eseményeket az alábbi táblázat sorolja fel.

Gyakori kérdések (GYIK)

Rendszerindítási problémák elhárítása

Mindhárom kockázatcsökkentés alkalmazása után az eszköz belső vezérlőprogramja nem indul el a Windows Production PCA 2011 által aláírt rendszerindítás-kezelővel. A belső vezérlőprogram által jelentett rendszerindítási hibák eszközspecifikusak. Tekintse meg a Helyreállítási eljárás szakaszt.

Helyreállítási eljárás

Ha hiba lép fel a kockázatcsökkentés alkalmazása közben, és nem tudja elindítani az eszközt, vagy külső adathordozóról (például egy pendrive-ról vagy PXE-rendszerindításról) kell indulnia, próbálkozzon az alábbi javaslatokkal:

1. Kapcsolja ki a Biztonságos rendszerindítást.
   
   Ez az eljárás különbözik az eszközgyártóktól és a modellektől. Adja meg az eszközök UEFI BIOS menüjét, lépjen a Biztonságos rendszerindítási beállítások területre, és kapcsolja ki. A folyamatra vonatkozó részletekért tekintse meg az eszköz gyártójának dokumentációját. További információt a Biztonságos rendszerindítás letiltása című témakörben talál.

2. Állítsa alaphelyzetbe a biztonságos rendszerindítási kulcsokat az alapértelmezett gyári beállításokra.

   Ha az eszköz támogatja a biztonságos rendszerindítási kulcsok gyári alapértékre állítását, most hajtsa végre ezt a műveletet.

   MEGJEGYZÉS Egyes eszközgyártók a Biztonságos rendszerindítás változók esetében "Clear" (Törlés) és "Reset" (Alaphelyzetbe állítás) beállítással is rendelkeznek, amely esetben a "Reset" (Alaphelyzetbe állítás) lehetőséget kell használni. A cél az, hogy a Secure Boot változókat visszahelyezzük a gyártók alapértelmezett értékeire.

   Az eszköznek most kell elindulnia, de vegye figyelembe, hogy sebezhető a boot-kit kártevők ellen. A biztonságos rendszerindítás újbóli engedélyezéséhez végezze el a helyreállítási folyamat 5. lépését.

3. Próbálja meg elindítani a Windowst a rendszerlemezről.

   1. Bejelentkezés a Windowsba.

   2. Futtassa az alábbi parancsokat egy rendszergazdai parancssorból a rendszerindító fájlok visszaállításához az EFI rendszerindítási partíciójában. Írja be külön az egyes parancsokat, majd nyomja le az Enter billentyűt:

      Mountvol s: /s

      del s:\*.* /f /s /q

      bcdboot %systemroot% /s S:

   3. A BCDBoot futtatása a "Rendszerindító fájlok sikeresen létrehozva" értéket adja vissza. Az üzenet megjelenése után indítsa újra az eszközt a Windowsba.

4. Ha a 3. lépés nem tudja helyreállítani az eszközt, telepítse újra a Windowst.

   1. Indítsa el az eszközt a meglévő helyreállítási adathordozóról.

   2. Folytassa a Windows telepítésével a helyreállítási adathordozó használatával.

   3. Bejelentkezés a Windowsba.

   4. Indítsa újra a Windowst annak ellenőrzéséhez, hogy az eszköz visszaindul-e a Windowsba.

5. Engedélyezze újra a Biztonságos rendszerindítást, és indítsa újra az eszközt.
   
   Adja meg az eszköz UEFI menüjét, lépjen a Biztonságos rendszerindítási beállítások területre, és kapcsolja be. A folyamatra vonatkozó részletekért tekintse meg az eszköz gyártójának dokumentációját. További információt a Biztonságos rendszerindítás újbóli engedélyezése című szakaszban talál.

Referenciák

• Útmutató a CVE-2022-21894: The BlackLotus kampányt használó támadások kivizsgálására

• Biztonságos rendszerindítás

• Biztonságos rendszerindítás engedélyezése regisztrált Windows-eszközökön

• A DBX-frissítések alkalmazásakor generált eseményekért lásd: KB5016061: A sebezhető és visszavont rendszerindítás-kezelők kezelése.